Ley 21.719 para PYMES: cómo prepararse sin caer en la industria del miedo
- hace 23 horas
- 5 min de lectura
La “industria del miedo” ya encontró su nuevo negocio en Chile: la Ley N.º 21.719 de Protección de Datos Personales.
Si tienes una PYME, probablemente ya recibiste alguno de estos mensajes:
“Las multas son millonarias”.“Necesitas contratar una plataforma”.“Debes implementar un modelo completo de cumplimiento”.“Contrata ahora a un estudio de abogados”.
La nueva ley es importante y las empresas deben prepararse. Pero eso no significa entrar en pánico, sobredimensionar el problema ni gastar una fortuna antes de entender qué necesita realmente la organización.
¿Cuándo entra en vigencia la Ley 21.719?
La Ley N.º 21.719 fue publicada el 13 de diciembre de 2024 y entrará en vigencia el 1 de diciembre de 2026.
La normativa moderniza el sistema chileno de protección de datos personales, fortalece los derechos de las personas y crea una nueva Agencia de Protección de Datos Personales con facultades de fiscalización y sanción.
Entre otros aspectos, reconoce derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. También exige a las organizaciones contar con mecanismos que permitan ejercerlos de manera sencilla, ágil y eficaz.
La regulación tiene, por supuesto, un componente jurídico. Sin embargo, reducir su implementación a políticas, contratos y documentos legales sería un error.
Cumplir no es imprimir políticas y guardarlas en un cajón
Una empresa puede tener una política de privacidad perfectamente redactada y, aun así, no saber responder preguntas fundamentales:
¿Qué datos personales recopila?
¿Para qué utiliza esos datos?
¿Dónde están almacenados?
¿Quiénes pueden acceder a ellos?
¿Qué proveedores participan en su tratamiento?
¿Durante cuánto tiempo se conservan?
¿Cómo se eliminan cuando dejan de ser necesarios?
¿Qué ocurre si una persona solicita acceder, corregir o eliminar su información?
¿Cómo respondería la empresa ante un incidente de seguridad?
Una política puede respaldar la gestión, pero no reemplazarla.
El verdadero desafío de la Ley 21.719 está en convertir sus exigencias en responsabilidades, procesos, controles y evidencias que funcionen en la operación diaria.
El desafío es jurídico, pero su implementación es operativa
La protección de datos no depende únicamente del área legal. Los datos personales circulan por toda la organización:
Sitios web y formularios.
Plataformas de comercio electrónico.
Sistemas de facturación.
Correos electrónicos.
Procesos de selección y recursos humanos.
CRM y herramientas de marketing.
Sistemas de analítica.
Proveedores tecnológicos.
Servicios en la nube.
Aplicaciones de inteligencia artificial.
Además, este ecosistema cambia constantemente.
La empresa incorpora un nuevo CRM, reemplaza un software, contrata a una persona, desvincula a otra, habilita una integración o comienza a utilizar una herramienta de IA. Cada cambio puede modificar los datos tratados, sus finalidades, los accesos existentes y los proveedores involucrados.
Por eso, cumplir la Ley 21.719 no es un proyecto documental que se realiza una vez. Es una capacidad de gestión que debe mantenerse actualizada.
El primer paso no es comprar una solución: es entender
Antes de contratar una plataforma, redactar decenas de políticas o implementar controles aislados, una empresa debería responder cuatro preguntas:
1. ¿Qué datos personales tenemos?
La organización debe identificar los datos que recopila y las actividades para las cuales los utiliza. No basta con enumerar bases de datos: es necesario comprender cada tratamiento, su finalidad y las personas involucradas.
2. ¿Dónde viven esos datos?
Los datos pueden estar distribuidos entre planillas, correos, sistemas internos, servicios en la nube, plataformas externas y dispositivos personales. Si no existe una visión completa, tampoco puede existir un control efectivo.
3. ¿Quién puede acceder a ellos?
Es necesario reconocer a las personas, áreas y proveedores que intervienen en cada tratamiento, revisar sus permisos y determinar quién es responsable de gestionarlos.
4. ¿Cómo responderíamos si algo ocurre?
La empresa necesita procedimientos concretos para atender solicitudes de los titulares, revocar accesos, eliminar información, responder frente a incidentes y demostrar las medidas adoptadas.
Este levantamiento permite construir una fotografía real de la organización, detectar brechas y priorizar las acciones más relevantes.
Una implementación proporcional a la realidad de cada PYME
Prepararse para la nueva Ley de Datos Personales no debería significar ahogar a una PYME en burocracia ni desfinanciarla en el intento.
Una implementación aterrizada debería:
Comenzar por un diagnóstico.
Identificar los tratamientos y riesgos más relevantes.
Priorizar las brechas según su impacto.
Integrar criterios jurídicos, técnicos y operativos.
Evitar documentos y herramientas que la empresa no necesita.
Definir responsables claros.
Mantener registros y evidencias actualizados.
Permitir que el modelo evolucione junto con la organización.
La meta no es acumular entregables. Es que la empresa pueda explicar, gestionar y demostrar responsablemente lo que hace con los datos personales.
¿Qué rol cumplen los abogados?
La asesoría jurídica es necesaria para validar bases de licitud, contratos, políticas, transferencias de datos y otras definiciones legales.
Pero el abogado no reemplaza el trabajo operativo de la empresa.
Alguien debe levantar la información, revisar sistemas, identificar accesos, coordinar proveedores, implementar controles, configurar herramientas, atender solicitudes y mantener las evidencias al día.
La mejor respuesta no es elegir entre abogados o tecnología. Es integrar la validación jurídica exactamente donde se necesita dentro de un modelo de gestión que pueda funcionar en la práctica.
Cómo aborda Goose la protección de datos personales
En Goose abordamos este desafío desde la gestión y la tecnología, incorporando la validación jurídica cuando corresponde.
Nuestro modelo CARE se desarrolla en tres momentos:
Diagnóstico
Levantamos tratamientos, datos, sistemas, responsables, accesos, proveedores y evidencias para identificar las principales brechas y construir una hoja de ruta priorizada.
Implementación
Convertimos las brechas en acciones concretas: procesos, controles, ajustes técnicos, documentación, asignación de responsabilidades y mecanismos de respuesta.
Gestión continua
Mantenemos el modelo actualizado a medida que cambia la organización, sus plataformas, sus equipos y sus proveedores.
La plataforma desarrollada de manera inhouse para ello, permite centralizar el levantamiento, vincular evidencias, visualizar brechas y mantener trazabilidad. Sin embargo, la tecnología no reemplaza el análisis: lo estructura y lo hace sostenible.
Prepararse sin miedo, pero también sin postergar
La Ley 21.719 representa un cambio significativo para las empresas chilenas. Ignorarla no es una buena alternativa, pero tampoco lo es contratar soluciones costosas y genéricas antes de comprender el problema.
El punto de partida es más simple:
entender qué datos tiene la empresa, cómo los utiliza, quién interviene y qué tan preparada está para responder.
Desde ahí es posible construir una implementación gradual, eficiente y proporcional a la realidad de cada organización.
La pregunta no es solamente si tu empresa tiene una política de privacidad.
La pregunta verdaderamente importante es:
¿Tu organización sabe y puede demostrar cómo gestiona los datos personales que están bajo su responsabilidad?
En Goose podemos ayudarte a descubrirlo mediante un diagnóstico inicial y una hoja de ruta concreta para avanzar sin sobredimensionar la solución.
Este contenido tiene carácter informativo y no constituye asesoría jurídica. Las definiciones legales aplicables a cada organización deben ser validadas por profesionales especializados.
